CVE-2020-1063
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Podatność typu cross-site scripting w Microsoft Dynamics 365 (on-premises) z powodu nieprawidłowego oczyszczania specjalnie spreparowanych żądań internetowych. Uwierzytelniony atakujący może przeprowadzić ataki XSS i uruchomić skrypty w kontekście bieżącego uwierzytelnionego użytkownika.
Ocena ryzyka
Ryzyko kradzieży danych, nieautoryzowanych działań w Dynamics Server (np. zmiany uprawnień, usuwanie treści) oraz wstrzykiwania złośliwej treści do przeglądarki użytkownika.
Rekomendacja
Zainstaluj aktualizację zabezpieczeń, która poprawia oczyszczanie żądań internetowych w Dynamics Server.
Inne podatności w Microsoft Dynamics 365
Zobacz wszystkie- CVE-2026-47647Krytyczne
Nieprawidłowa kontrola dostępu w Microsoft Dynamics 365 umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.
- CVE-2026-66301Średnie
Ujawnienie wrażliwych informacji nieautoryzowanemu podmiotowi w Microsoft Dynamics 365 (on-premises) umożliwia autoryzowanemu atakującemu ujawnienie informacji przez sieć.
- CVE-2026-65815Wysokie
Deserializacja niezaufanych danych w Microsoft Dynamics 365 (on-premises) umożliwia autoryzowanemu atakującemu zdalne wykonanie kodu.
- CVE-2026-40371Wysokie
Podatność w Microsoft Dynamics 365 (on-premises) związana z nieprawidłowym zarządzaniem uprawnieniami umożliwia autoryzowanemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-33103Średnie
Niewłaściwa kontrola dostępu w Microsoft Dynamics 365 (on-premises) umożliwia autoryzowanemu atakującemu lokalne ujawnienie informacji.
- CVE-2024-43476Wysokie
Podatność typu Cross-site Scripting (XSS) w Microsoft Dynamics 365 (wersja on-premises). Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.
- CVE-2024-35263Średnie
Podatność ujawniania informacji w Microsoft Dynamics 365 (wersja lokalna) umożliwia nieautoryzowanym użytkownikom dostęp do poufnych danych. Luka wynika z nieprawidłowego zarządzania uprawnieniami dostępu do zasobów systemu.
- CVE-2023-21807Średnie
Podatność typu Cross-site Scripting (XSS) w Microsoft Dynamics 365 (on-premises).
- CVE-2023-21573Średnie
Podatność typu Cross-site Scripting (XSS) w Microsoft Dynamics 365 (on-premises).
- CVE-2023-21572Średnie
Podatność typu Cross-site Scripting (XSS) w Microsoft Dynamics 365 (on-premises).
Oryginalny opis (angielski, źródło NVD)
A cross site scripting vulnerability exists when Microsoft Dynamics 365 (on-premises) does not properly sanitize a specially crafted web request to an affected Dynamics server. An authenticated attacker could exploit the vulnerability by sending a specially crafted request to an affected Dynamics server. The attacker who successfully exploited the vulnerability could then perform cross-site scripting attacks on affected systems and run script in the security context of the current authenticated user. These attacks could allow the attacker to read content that the attacker is not authorized to read, use the victim's identity to take actions within Dynamics Server on behalf of the user, such as change permissions and delete content, and inject malicious content in the browser of the user. The security update addresses the vulnerability by helping to ensure that Dynamics Server properly sanitizes web requests.